Script de Exploração de Força Bruta XML-RPC WordPress

Este repositório contém uma prova de conceito (PoC) baseada em Python para realizar força bruta em credenciais de login em instâncias do WordPress vulneráveis ao CVE-2014-0195, onde a função system.multicall do XML-RPC pode ser explorada para tentar múltiplas requisições de login em uma única solicitação HTTP, potencialmente resultando em uma negação de serviço. Este script é destinado a profissionais de cibersegurança para avaliar a postura de segurança de instalações WordPress.

Aviso

Este código é estritamente para uso ético em sistemas autorizados. O uso não autorizado deste código é ilegal e pode levar a consequências graves. Sempre obtenha permissão explícita antes de testar ou explorar sistemas que você não possui.

Visão Geral da Vulnerabilidade

A vulnerabilidade reside na API XML-RPC do WordPress, especificamente no método system.multicall. Esse método permite o agrupamento de múltiplas requisições, o que é explorado aqui para enviar várias tentativas de login em uma única requisição. Esse recurso permite tentativas de força bruta mais rápidas e contorna as proteções típicas de limitação de taxa.

Mais detalhes podem ser encontrados no Broadcom Security Advisory.

Pré-requisitos

• Python 3
• Biblioteca Requests: Instale via $ pip install -r requirements.txt ou $ pip install requests.
• Seclists: Este script usa o arquivo de senhas rockyou-75.txt do Seclists. Certifique-se de que ele esteja instalado em /usr/share/seclists/Passwords/Leaked-Databases/rockyou-75.txt ou altere o caminho conforme necessário.

Como Funciona

O script executa as seguintes etapas:

1. Inicializar e Carregar Senhas: Carrega uma lista de senhas do arquivo especificado.
2. Geração de Payload: Gera payloads XML-RPC contendo até 200 tentativas de login cada, usando o método system.multicall.
3. Envio de Requisições Multithread: Lança threads para enviar cada payload à URL alvo e monitora as respostas em busca de logins bem-sucedidos.